npm

ChainCatcher 消息，据 Cryptopolitan 报道，一款名为 GhostClaw 的新型恶意软件正在针对 macOS 设备上的加密钱包。 该恶意软件通过伪装成合法的 OpenClaw CLI 工具，在 npm 注册表中存在一周时间，感染了 178 名开发者后被移除。一旦开发者运行 “npm install” 命令，隐藏脚本会全局安装 GhostClaw 包，并通过混淆的设置文件逃避检测。GhostClaw 每三秒扫描一次剪贴板，捕获私钥、助记词、公钥等加密钱包和交易相关数据。 在第二阶段的载荷下载后，GhostLoader 会扫描 Chromium 浏览器、macOS 钥匙串和系统存储中的加密钱包数据，克隆浏览器会话以获取已登录钱包的访问权限，并窃取连接 AI 平台（如 OpenAI 和 Anthropic）的 API Token。窃取的数据通过 Telegram、GoFile 和命令服务器发送给攻击者。

ChainCatcher 消息，据慢雾科技首席信息安全官 23pds 披露，情报系统发现名为 “@openclaw-ai/openclawai” 的恶意 npm 包正在实施多层攻击。 该恶意包伪装成名为 OpenClaw Installer 的合法命令行工具，旨在窃取用户敏感信息，包括系统凭证、加密钱包私钥、浏览器数据、SSH 密钥以及 Apple Keychain 数据库等。

ChainCatcher 消息，据 GMGN 数据，BAGS 生态 Meme 代币 NPM 出现短时急跌，市值自高点 890 万美元下行触及 80 万美元，1 小时跌超 80%，上线 5 小时成交量 1,320 万美元。 据悉，NPM 代币叙事为致敬全球最大包管理器 NPM 创始人 Isaac Z. Schlueter，其被誉为程序员界的 “V 神”。 ChainCatcher 提醒用户，Meme 币多无实际用例，价格波动较大，投资需谨慎。

ChainCatcher 消息，慢雾科技首席信息安全官 23pds 发布安全预警，NPM 供应链攻击的最新变种 “Shai-Hulud 3” 再次来袭，请各项目方和平台注意防范，此前怀疑 Trust Wallet API key 泄露可能为 Shai-Hulud 2 攻击导致。Shai-Hulud 是一系列针对 NPM 生态的自传播蠕虫式供应链攻击，用于窃取开发者凭证、云密钥和环境秘密。最新变种（社区称为 Shai-Hulud 3 或新 strain）于 2025 年 12 月 28 日被 Aikido Security 研究员 Charlie Eriksen 发现，目前传播范围有限，可能仅为测试阶段。

ChainCatcher 消息，慢雾科技首席信息安全官 23pds 发布安全预警，NPM 供应链攻击的最新变种 “Shai-Hulud 3” 再次来袭，请各项目方和平台注意防范，此前怀疑 Trust Wallet API key 泄露可能为 Shai-Hulud 2 攻击导致。

ChainCatcher 消息，Scam Sniffer 监测到又一起针对 NPM 供应链的攻击事件，@ctrl/tinycolor（每周下载量达 220 万次）发布了恶意版本，该版本会在 npm 执行 postinstall（安装后）脚本时运行信息窃取程序，以扫描并窃取敏感数据。 此恶意载荷滥用了合法的敏感信息扫描工具 TruffleHog。请检查是否下载了受影响的版本，暂停安装/更新操作，并将版本固定为已知安全的版本。

ChainCatcher 消息，DuckDB 官推发文称，DuckDB 的 Node.js 和 Wasm 软件包在近期 npm 供应链攻击中被植入恶意软件。官方已调查并弃用受影响版本，同时发布新版本。DuckDB 表示，根据 npm 数据，暂无用户下载受影响包。团队已发布安全公告，详述事后分析及应对措施。

ChainCatcher 消息，慢雾科技首席信息安全官 23 pds 在 X 平台发文称，DuckDB NPM 帐户遭入侵，恶意版本 duckdb、duckdb-wasm 等被发布，这些恶意软件与供应链攻击中出现的钱包窃取恶意软件一致。注意风险防范。

ChainCatcher 消息，据 CertiK Alert 监测，开发者 Qix 的 NPM 账户遭钓鱼攻击，攻击者将恶意代码注入到 npm 中。据 Security Alliance，攻击者似乎仅从中获利约 0.05 美元的 ETH 和 20 美元的 Meme 币。 此前报道，Ledger 首席技术官 Charles Guillemet 发文称，“目前正在发生一起大规模供应链攻击：一名知名开发者的 NPM 账号遭到入侵。受影响的包下载量已超过 10 亿次，这意味着整个 JavaScript 生态系统都可能面临风险。恶意代码的工作原理是在后台静默篡改加密货币地址，以此窃取资金。”

ChainCatcher 消息，据市场消息称，知名开发者 qix 因钓鱼攻击导致 npm 软件包被注入恶意代码，相关包包括 chalk、strip-ansi、color-convert 等。攻击方式为挂钩钱包功能、篡改 ETH/SOL 交易收款地址及替换网络响应中的地址。用户建议：务必在钱包界面核对收款人和金额，检查粘贴后地址变化，复查近期交易，高价值操作优先使用硬件钱包。

ChainCatcher 消息，Socket 安全研究团队发现四个恶意 npm 包，针对币安智能链（BSC）和以太坊（Ethereum）用户的钱包实施攻击。这些包分别为 pancake_uniswap_validators_utils_snipe（350 次下载）、pancakeswap-oracle-prediction（445 次下载）、ethereum-smart-contract（305 次下载）和 env-process（1,054 次下载），累计下载量已超过 2,100 次。 攻击者通过混淆的 JavaScript 代码计算目标钱包余额的百分比，并尝试将高达 85% 的资产转移至其控制的钱包地址。

ChainCatcher 消息，据加密安全研究机构 Aikido Security 监测，官方 XRPL NPM 包被发现存在安全漏洞。该后门程序会窃取用户私钥并将其发送给攻击者。受影响版本为 4.2.1 至 4.2.4，Aikido Security 建议使用较早版本的用户暂勿进行版本升级。